Leckék a himnuszból: A Cyber ​​Security Team minden munkatársának része

Leckék a himnuszból: A Cyber ​​Security Team minden munkatársának része
Mostanában sokan a számítógépes biztonság világában egy litván anyaggal fésülve elemezzük az Anthem adatbiztonsági megsértésének okait, indítékait és módszereit, amelyek fejjel lefelé fordították az egészségbiztosítási konglomerátumot több mint 80 millió embert érintett. Kapcsolódó: A számítógépes kommunikáció hiánya költséggel jár a nagyvállalatoknál Nagy Nagyon sok szó esik arról, hogy egy ilyen eset hogyan fordulhatott elő.

Mostanában sokan a számítógépes biztonság világában egy litván anyaggal fésülve elemezzük az Anthem adatbiztonsági megsértésének okait, indítékait és módszereit, amelyek fejjel lefelé fordították az egészségbiztosítási konglomerátumot több mint 80 millió embert érintett.

Kapcsolódó: A számítógépes kommunikáció hiánya költséggel jár a nagyvállalatoknál Nagy

Nagyon sok szó esik arról, hogy egy ilyen eset hogyan fordulhatott elő. Érthető módon a szakértők arra mutatnak rá, hogy az Anthem adatbázisában lévő fogyasztói információk nem titkosították. Bár az adatok titkosítása minden átfogó biztonsági terv kulcsfontosságú eleme, a titkosítás nem volt a legnagyobb probléma az Anthem esetében. Valójában ez csak egy eszköz a fő információbiztonsági tisztviselő (CISO) arzenáljában az ilyen fenyegetések megelőzésére.

Itt van a lényeg, hogy hazavigyél. A szervezet átlagos időtartama a jogsértés észlelésére 209 nap, de egy olyan munkakörnyezet fenntartása, ahol mindenki tudatában van a biztonságnak, jelentősen csökkentheti az időt és az általános veszteségeket. A Nemzetbiztonsági Ügynökség (NSA) székhelye jó példa egy jól átgondolt általános biztonsági helyzetre (Edward Snowden kérdés ellenére).

Nem lehet több mint 20 lábat eljutni az NSA székházába anélkül, hogy egy véletlen munkás megállná, hogy megkérdezze, hol van a jelvényed, ha nem látható. Hetven évvel ezelőtt a híres második világháborús plakátok, amelyek felkiáltották a "Loose Lips Sink Ships" -ot, arra törekedtek, hogy érvényesítsék azt az elképzelést, hogy mindenkinek aggasztja a működési biztonságot. Ez még ma is igaz: a legfontosabb az, hogy olyan vállalati kultúrát hozzunk létre, amely észleli az olyan rendellenességeket, amelyek valódi fenyegetésekké válhatnak, és bevonni minden munkavállalót, nem csak az informatikai részlegeket.

Más szóval, integrálja a számítógépes biztonság érzékenységét a vállalati kultúrába. Az NSA, a bankok stb. Szervezetei szükségszerűen beépítették a fizikai biztonság érzetét a vállalati kultúrákba, és ma több szervezet érezte egyre növekvő és sürgető szükségességét, hogy bevonja a számítógépes biztonság érzékenységét kultúrájukba is.

Kapcsolódó: 10 kérdés, melyet fel kell tenned a Cyber ​​Security terv elkészítéséhez

Kifogásosabbá tétele: A szervezeteket rendszerint felrobbantják a munkatársainak szándékolt, nem jellegzetes, de mégis bizonytalan tevékenységeiről.

Négy cyber-biztonsági forgatókönyv, amelyekre figyelni kell:

1. Azok a dolgozók, akik nyilvános Facebook-fiókjukat mutatták be, amelyek megadják teljes nevüket és születési dátumukat, cyber-ragadozónak nyújtanak olyan eszközöket, amelyek potenciálisan megszerzik a társadalombiztosítási számot, többek között a vállalkozás üzleti és személyes fiókjainak sikeres beszivárgásához.

2. & Ldquo; Shadow wi-fi fiókok & rdquo; amelyek nyilvános helyeken, például konferenciateremben vagy szállodában jelennek meg, olyan mobileszközöket használnak, amelyek a legközelebbi nyílt hálózathoz kapcsolódnak. Az ilyen látszólag elismert hozzáférési pontok meggyőzhetik az üzleti utazókat, hogy szándékosan tegyék közzé az iPhone, iPad vagy laptopon tartózkodó vállalati információkat.

3. A jelszavak nehezen emlékeznek, ezért az emberek számítógépen vagy telefonon írják le őket egy notebookra vagy titkosítatlan fájlra. Ez a közös hiba megnyitja fiókjait egy támadónak, aki csak minimális munkát végez.

4. Az a munkavállaló, aki e-mailt kap egy idegentől, vagy egy hirdetést lát egy törvényes webhelyen, egy linkre kattint és azonnal átterjed a rosszindulatú programokkal a vállalat hálózatán keresztül. Ez nem rosszindulatú cselekedet: A csapattársa éppen nem vette észre, milyen káros lehet az egyetlen kattintás.

Négyféle módon integrálhatja a számítógépes biztonságot a vállalati kultúrájába:

1. Hangsúlyozzon az egész személyzet biztonságos számítógépes gyakorlatát, amely túlmutat a nem megfelelő webhelyek listáján, hogy szörfözhessenek irodai órák alatt.

2. Ugyanolyan gondosságot és aggodalmat érezhessenek a számítógépes biztonsági tevékenységek terén az alkalmazottak számára, mint az irodaház használatát követő óvintézkedések után.

3. Az összes alkalmazottnak jó internetes "higiéniai" képzése (azaz hogyan kell az e-mailekben található linkekre kattintani, hogyan kell a jelszavakat nyitott digitális vagy fizikai közegben tárolni stb.).

4. Korlátozza a rendszeres felhasználók adminisztratív elérhetőségét. Ehhez nem kis jelentőségű munkavállalói folyamatmódosítás és változáskezelés szükséges, de kulcsfontosságú a vállalat számára a számítógépes kockázat kezelésére.

Ezek a mozdulatok nem azt jelentik, hogy a szervezetek figyelmen kívül hagyják hálózati architektúrájukat, biztonsági javítóprogramjaikat, katasztrófa-helyreállítási házirendjeiket és a fenyegetéskezelő rendszer telepítését.

Ezek az elemek továbbra is kulcsfontosságúak. Azonban a biztonsági intézkedések végrehajtása csak az informatikai részlegen keresztül történik, és nem foglalkozik a vállalati kultúra alapvető elemeivel a számítógépes biztonság érzékenységének általános szükségességével, mint az otthoni ajtók bezárása, de az ablakok nyitva hagyása a külső levegő bejutását illetően.

Kapcsolódó: A vezérigazgatók nem tudnak hosszabb ideig odafigyelni a Cyber ​​Securityre